3. 平台门户安全需求分析
在集成 Calico 准入策略之前，必须对平台门户的安全需求进行系统化分析。多租户隔离、最小权限、审计合规与动态策略管理构成了安全权限设计的四大支柱。每一项需求都直接决定了 Calico 策略模型的选型、资源层级划分以及 API 暴露方式。
核心原则：安全需求不是一次性清单，而是与平台门户的租户模型、RBAC 体系、CI/CD 流水线深度绑定的持续约束。任何策略设计若偏离这四项需求，都会在后续运维中产生权限漏洞或管理瓶颈。
3.1 多租户隔离
平台门户通常承载多个业务部门、项目团队或外部客户。Kubernetes 原生 Namespace 仅提供逻辑隔离，无法满足网络层面的强隔离要求。Calico 通过 NetworkPolicy 和 GlobalNetworkPolicy 实现租户间的南北向与东西向流量隔离。
| 隔离维度 | Kubernetes 原生能力 | Calico 增强能力 | 门户需求等级 |
|---|---|---|---|
| Namespace 级隔离 | 支持（默认允许） | 默认拒绝 + 显式允许 | 强制 |
| 跨租户通信 | 需手动管理 | 租户标签 + 策略绑定 | 强制 |
| 外部入口隔离 | Ingress 规则 | GlobalNetworkSet + 策略 | 高 |
| Pod 级微隔离 | 有限 | 基于标签的细粒度规则 | 高 |
设计建议：在门户中为每个租户分配独立的 Calico 策略层级（Tenant → Namespace → Workload），并使用
projectcalico.org/tenant 标签作为策略匹配的根标识，避免策略交叉泄露。
3.2 最小权限原则
最小权限原则要求每个用户、服务账户或自动化工具仅获得完成其任务所必需的网络权限。在 Calico 策略体系中，这体现为三个层面的权限收敛：
- 策略作用域收敛：使用
namespaceSelector和podSelector将策略影响范围限制在特定租户或应用组内，避免全局策略误伤。 - 规则粒度收敛：仅开放必要的端口、协议和 CIDR，禁止使用
0.0.0.0/0或all ports等宽松规则。 - 管理权限收敛：通过 Kubernetes RBAC 限制谁可以创建、更新、删除 Calico 策略资源，防止普通用户绕过租户隔离。
| 权限层级 | 典型角色 | 允许操作 | 禁止操作 |
|---|---|---|---|
| 平台管理员 | cluster-admin | 全局策略、租户创建 | 无 |
| 租户管理员 | tenant-admin | 本租户 Namespace 策略 | 跨租户策略、全局策略 |
| 应用开发者 | app-developer | 查看策略、建议规则 | 直接修改策略 |
| CI/CD 机器人 | cicd-bot | 按模板创建策略 | 删除或修改非自身策略 |
常见陷阱：最小权限不等于零权限。过度收紧会导致业务连通性故障，运维人员被迫使用“临时放通”规则，反而破坏权限模型。建议在门户中提供“策略模拟”功能，让用户在提交前验证权限影响范围。
3.3 审计合规
企业级平台必须满足 SOC 2、PCI-DSS、GDPR 等合规框架对网络访问日志和策略变更审计的要求。Calico 与平台门户集成后，审计覆盖以下关键点：
- 策略变更审计：记录谁、在什么时间、通过什么 API 创建/更新/删除了 NetworkPolicy 或 GlobalNetworkPolicy。
- 流量日志审计：启用 Calico 的
logAction策略动作，将拒绝或允许的流量记录到 syslog 或外部 SIEM。 - 合规报告生成：定期扫描集群中所有生效的策略，检查是否存在宽松规则、未绑定租户的策略或孤立策略。
- 不可否认性：所有策略变更操作必须关联到具体用户身份，禁止使用共享令牌或匿名 ServiceAccount。
3.4 动态策略管理
传统静态策略无法适应云原生环境的快速变化。平台门户需要支持策略的动态创建、热更新、版本回滚以及策略依赖关系解析。Calico 的策略模型天然支持动态性，但门户集成时需额外处理以下场景：
- 策略模板化：预定义常用策略模板（如“只允许内部服务访问数据库”），用户通过门户表单填充参数即可生成合规策略。
- 策略生命周期：支持策略的草稿、生效、冻结、归档状态，避免误操作直接生效。
- 策略冲突检测：当新策略与现有策略存在重叠或矛盾时，门户应给出警告并建议调整优先级。
- 策略依赖拓扑：可视化展示策略之间的依赖关系（例如：策略 A 依赖策略 B 先放通某个端口），防止删除上游策略导致下游中断。
| 动态管理能力 | 实现方式 | 门户集成要点 |
|---|---|---|
| 策略模板 | Helm Chart / CRD 模板 | 提供表单 UI，参数校验后渲染 YAML |
| 热更新 | Calico 实时监听 API | 变更后自动触发策略重算，无需重启 |
| 版本回滚 | K8s 资源版本 + 审计日志 | 门户保留最近 N 个版本，支持一键回退 |
| 冲突检测 | 策略优先级 + 标签匹配分析 | 提交前执行 dry-run 模拟 |
| 依赖拓扑 | 策略标签关系图 | SVG 可视化 + 影响范围分析 |
最佳实践：在门户中引入“策略沙箱”环境。用户可以在沙箱中创建、修改、测试策略，确认无误后再提交到生产集群。沙箱环境使用独立的 Calico 策略控制器，与生产策略完全隔离。
3.5 需求优先级矩阵
将上述四项需求按实现难度和安全影响进行优先级排序，帮助团队在迭代中合理分配资源：
| 需求 | 安全影响 | 实现难度 | 推荐优先级 | 说明 |
|---|---|---|---|---|
| 多租户隔离 | 高 | 中 | P0（必须优先） | 无隔离则平台不可用 |
| 最小权限原则 | 高 | 中 | P0（必须优先） | 与隔离相辅相成 |
| 审计合规 | 高 | 低 | P1（高优先级） | 日志收集可快速落地 |
| 动态策略管理 | 中 | 高 | P2（迭代优化） | 依赖模板和沙箱建设 |
总结：平台门户的安全权限设计必须从多租户隔离和最小权限原则起步，在第一个迭代周期内完成基础隔离框架；审计合规紧随其后，确保可追溯性；动态策略管理作为高阶能力，在门户具备策略模板和沙箱能力后再逐步开放给租户管理员。